Evaluaciones de impacto

La ley pide dos cosas que suelen confundirse: privacidad desde el diseño, que aplica a todo proyecto nuevo, y la evaluación de impacto, que aplica solo a los tratamientos de alto riesgo. La primera es una costumbre; la segunda, un documento.

Privacidad desde el diseño y por defecto

Es la obligación de incorporar la protección de datos desde la concepción de nuevos proyectos, sistemas y servicios, y de configurar por defecto el tratamiento mínimo necesario.

En la práctica no se cumple con un documento, sino con una pregunta puesta en el lugar correcto: antes de aprobar un sistema nuevo, alguien tiene que preguntar qué datos personales va a tratar, para qué, por cuánto tiempo y quién los verá.

Dos formas de que esa pregunta ocurra de verdad:

• Un control aplicado que exija revisión de privacidad en la puesta en marcha de sistemas, con responsable asignado.
• Una tarea recurrente de revisión del registro de tratamientos, que es donde se descubre lo que entró sin preguntar.

“Por defecto” tiene además una consecuencia concreta y verificable: si un sistema nuevo puede funcionar sin un dato, ese campo no se recolecta; si puede funcionar con acceso restringido, no se abre a todos.

Cuándo hace falta una evaluación de impacto

La evaluación de impacto en protección de datos (EIPD) es exigible cuando el tratamiento pueda producir un alto riesgo para los derechos de los titulares. La ley y su práctica apuntan a situaciones como:

• Tratamiento masivo de datos personales.
• Datos sensibles — salud, biometría, origen étnico, afiliación sindical, vida sexual, convicciones.
• Observación sistemática de personas, como videovigilancia o geolocalización continua.
• Nuevas tecnologías cuyo impacto sobre la privacidad no está establecido.

Un matiz que conviene tener presente: la evaluación se hace antes de que empiece el tratamiento, no como documentación posterior de algo que ya está andando.

Omitirla es infracción gravísima

Cuando corresponde hacer una evaluación de impacto y no se hace, la ley clasifica ese incumplimiento en su categoría más grave — el tramo de multas más alto. Es de los pocos requisitos de esta ley donde la omisión, por sí sola, ya es el problema.

Ante la duda, hacerla es mucho más barato que justificar por qué no se hizo. Una evaluación que concluye “riesgo bajo, no se requieren medidas adicionales” es igualmente evidencia de diligencia.

En Generadora Cordillera

De los diez tratamientos del registro, tres disparan evaluación de impacto:

• Control de acceso biométrico — dato sensible, y además tratamiento masivo: todo el personal y los contratistas.
• Telemetría de vehículos — observación sistemática de conductores identificables.
• Cámaras de vigilancia — observación sistemática en instalaciones.

El de biometría es el que más discusión genera, y por una buena razón: la evaluación termina proponiendo una alternativa — credencial con PIN para quienes no consientan la huella — que reduce el riesgo sin afectar la operación. Eso es exactamente lo que una evaluación de impacto debería producir.

Qué contiene una evaluación

No hay una plantilla única, pero una evaluación útil responde cinco preguntas:

1. Qué se trata y para qué — la descripción del tratamiento y su finalidad, que ya tienes del registro.
2. Por qué es necesario y proporcional — si el mismo objetivo se logra con menos datos o menos intrusión, la respuesta correcta es hacerlo así.
3. Qué riesgos corren los titulares — no los riesgos de la empresa: los de las personas cuyos datos se tratan. Es el giro mental que cuesta.
4. Qué medidas mitigan esos riesgos — técnicas y organizativas, concretas.
5. Cuál es la conclusión — si el tratamiento procede, con qué condiciones, y quién lo aprueba.

Reutiliza tu análisis de riesgos, con un giro

El módulo de riesgos sirve perfectamente para llevar el análisis, con una condición: el impacto que valoras tiene que ser el impacto sobre el titular, no sobre la empresa. Una fuga de datos biométricos puede ser un problema menor para la continuidad operacional y un daño grave e irreversible para la persona — la biometría no se puede cambiar como una contraseña.

Cómo llevarla en la plataforma

Un camino que funciona bien y usa lo que ya tienes:

El documento vive en Documentos. La evaluación es, al final, un documento aprobado. Redáctalo con el asistente si quieres partir de una base —ver Documentación asistida— y déjalo versionado.

El análisis vive en Riesgos. Los escenarios de riesgo del tratamiento, con su valoración y su tratamiento, quedan trazables.

Las medidas viven en Controles aplicados. Lo que la evaluación concluye que hay que hacer se convierte en medidas con responsable y fecha, no en párrafos de un documento que nadie ejecuta.

La evidencia se adjunta al requisito de evaluación de impacto de tu auditoría de la Ley 21.719.

Revísalas cuando algo cambie

Una evaluación de impacto describe un tratamiento en un momento dado. Cambió el proveedor, se amplió la finalidad, se agregó una categoría de datos: hay que revisarla.

La forma práctica de que eso pase es dejar la revisión como tarea recurrente anual, y además vincularla al cambio: si el registro del tratamiento se modifica, la evaluación asociada se revisa.

Sigue por acá

Queda la parte operativa que enfrenta al público y al fiscalizador: Derechos y brechas.

Este manual explica cómo usar Preceptix para organizar tu cumplimiento; no es asesoría legal. La determinación de cuándo un tratamiento exige evaluación de impacto y la suficiencia de sus conclusiones deben evaluarse con tu asesor jurídico.